JP2013175034A - 情報処理装置、サービス提供システム、サービス提供方法及びプログラム - Google Patents

Abstract

【課題】サービス提供者がユーザデータに基づいてサービスを提供する場合に、サービスを受けるユーザが誰であるかをそのサービス提供者が一意に特定出来なくするとともに、ユーザが所持する情報処理装置とは別の装置にユーザデータを保存する場合に、そのユーザデータがその装置外に漏洩したとしても、どのユーザのユーザデータがどのような内容であるか特定出来なくする。
【解決手段】クライアント端末１０は、暗号化されていない生体情報をアプリＩＤと対応付けて情報配信用サーバ装置２０に送信するとともに、暗号化された生体情報をユーザＩＤと対応付けてバックアップ用サーバ装置３０に送信する。アドバイザ端末４０は、情報配信用サーバ装置２０に記憶されたユーザデータに対するアドバイスの入力を受け付ける。クライアント端末１０は、情報配信用サーバ装置２０からユーザデータに対するアドバイスをダウンロードする。
【選択図】図１

Description

本発明は、個人情報を保護しながらサービスを提供する技術に関する。

従来、ネットワークを通じてユーザにサービスを提供するシステムにおいて、送受信するデータの秘匿性や、ユーザ認証時のセキュリティを確保するために、様々な技術が利用されている。例えば、特許文献１には、ユーザＩＤ等の認証情報を用いた認証が行われた後に、クライアント端末が暗号化したデータをサーバ装置へ送信し、サーバ装置は暗号化されたデータを記憶することが記載されている。また、特許文献２には、クライアント端末に配信されるアプリケーションごとに一意のアプリケーションＩＤを付す事で、アプリケーションＩＤを用いてアプリケーションにおけるユーザ認証が行われることが記載されている。

特開２０１１−２７９１７号公報 特開２０１０−７９７９５号公報

ところで、このようなシステムを用いたサービスの提供者が例えば医療従事者などの場合、ユーザに関するデータ（以下、ユーザデータという）には氏名や年齢などに加えて身体に関する情報等の各種の個人情報が多数含まれるから、これらのユーザデータを秘匿することがより重要になってくる。このような場合、ユーザデータがサービス提供者等の第三者により参照可能な場合において、そのユーザデータがユーザを一意に特定可能な情報と結びついている状態にあることは、個人情報を保護する観点から望ましくない。また、このようなシステムでは、ユーザデータ消失時等のためにシステム内の記憶装置にユーザデータを保存しておく、いわゆるバックアップと呼ばれる処理が定期的に行われることがあるが、バックアップしたユーザデータ（以下、バックアップデータという）が仮に漏洩した場合であっても、そのバックアップデータがどのユーザのものであるかが知られてしまうことは絶対に避けなければならない。
本発明は、上述した背景に鑑みたものであり、サービス提供者がユーザデータに基づいてサービスを提供する場合に、サービスを受けるユーザが誰であるかをそのサービス提供者が一意に特定出来なくするとともに、ユーザが所持する情報処理装置とは別の装置にユーザデータを保存する場合に、そのユーザデータがその装置外に漏洩したとしても、どのユーザのユーザデータがどのような内容であるか特定出来なくすることを目的とする。

上述した課題を解決するために、本発明は、ユーザに関するデータであるユーザデータを取得するユーザデータ取得手段と、前記ユーザに割り当てられたユーザ識別子を取得するユーザ識別子取得手段と、前記ユーザデータに基づいてユーザにサービスを提供するための手順が記述されたアプリケーションプログラムに割り当てられたアプリケーション識別子を取得するアプリケーション識別子取得手段と、前記ユーザデータに基づいてユーザにサービスを提供する第１のサーバ装置に対し、前記アプリケーションプログラムが実行されているときに前記ユーザデータ取得手段によって取得された前記ユーザデータを、当該アプリケーションプログラムに割り当てられたアプリケーション識別子と対応付けて送信し、前記第１のサーバ装置から前記サービスに関するサービス情報が送信されてくると、当該サービス情報を受信して出力する処理を行う第１の処理手段と、暗号化された前記ユーザデータを前記ユーザ識別子に対応付けて保存する第２のサーバ装置に対し、暗号化したユーザデータを前記ユーザ識別子取得手段によって取得されたユーザ識別子と対応付けて送信する処理を行う第２の処理手段とを備えることを特徴とする情報処理装置を提供する。

好ましい態様において、前記第２の処理手段は、前記第２のサーバ装置に対して、前記ユーザ識別子を通知して前記暗号化されたユーザデータを要求し、当該要求に応じて、前記第２のサーバ装置から送信されてくる、暗号化されたユーザデータを受信し、受信した当該暗号化されたユーザデータを復号する処理を行うことを特徴とする。

また、別の好ましい態様において、１又は複数の前記第１のサーバ装置によって複数のサービスが提供される場合に、前記第１の処理手段は、それぞれの前記サービスの提供元である第１のサーバ装置との間で、当該サービスを受けるための手順が記述されたアプリケーションプログラムの実行時に取得された前記ユーザデータ及び当該アプリケーションに割り当てられた前記アプリケーション識別子の送信と、当該サービスに関する前記サービス情報の受信を行い、前記第２の処理手段は、複数の前記サービスを提供するための複数の前記アプリケーションプログラムがそれぞれ実行されているときに前記ユーザデータ取得手段によって取得された前記ユーザデータの各々を暗号化し、暗号化した複数のユーザデータをまとめて前記ユーザ識別子と対応付けて送信することを特徴とする。

また、別の好ましい態様において、前記アプリケーションプログラムは前記第１のサーバ装置に記憶されており、前記アプリケーション識別子取得手段は、ＨＴＭＬ（Hyper Text Markup Language）５に対応したウェブブラウザを用いて前記第１のサーバ装置から前記アプリケーション識別子を取得し、前記第１の処理手段及び前記第２の処理手段は、前記ウェブブラウザを用いて前記第１のサーバ装置及び前記第２のサーバ装置との間で送受信を行うことを特徴とする。

また、本発明は、複数の情報処置装置と、入力端末と、前記情報処置装置のユーザに関するデータであるユーザデータに基づいてユーザにサービスを提供する第１のサーバ装置と、暗号化された前記ユーザデータを前記ユーザに割り当てられたユーザ識別子に対応付けて保存する第２のサーバ装置とを具備し、各々の前記情報処理装置は、自装置のユーザに関するデータである前記ユーザデータを取得するユーザデータ取得手段と、自装置のユーザに割り当てられたユーザ識別子を取得するユーザ識別子取得手段と、前記ユーザデータに基づいてユーザにサービスを提供するための手順が記述されたアプリケーションプログラムに割り当てられたアプリケーション識別子を取得するアプリケーション識別子取得手段と、前記第１のサーバ装置に対し、前記アプリケーションプログラムが実行されているときに前記ユーザデータ取得手段によって取得された前記ユーザデータを、当該アプリケーションプログラムに割り当てられたアプリケーション識別子と対応付けて送信し、前記第１のサーバ装置から前記サービスに関するサービス情報が送信されてくると、当該サービス情報を受信して出力する処理を行う第１の処理手段と、前記第２のサーバ装置に対し、暗号化したユーザデータを前記ユーザ識別子取得手段によって取得されたユーザ識別子と対応付けて送信するとともに、前記第２のサーバ装置に対して、前記ユーザ識別子を通知して前記暗号化されたユーザデータを要求し、当該要求に応じて、前記第２のサーバ装置から送信されてくる、暗号化されたユーザデータを受信し、受信した当該暗号化されたユーザデータを復号する処理を行う第２の処理手段とを備え、前記入力端末は、前記第１のサーバ装置に記憶されているユーザデータを表示する表示手段と、前記アプリケーション識別子を指定して前記サービス情報を入力する操作を受け付ける操作手段とを有し、前記第１のサーバ装置は、前記情報処理装置から送信されてくる前記ユーザデータ及び前記アプリケーション識別子を受信する第１の受信手段と前記第１の受信手段によって受信された前記ユーザデータを前記アプリケーション識別子と対応付けて記憶するとともに、前記入力端末において入力されたサービス情報を前記指定されたアプリケーション識別子と対応する前記ユーザデータと対応付けて記憶する第１の記憶手段と、前記情報処理装置に前記サービス情報を送信する第１の送信手段とを有し、前記第２のサーバ装置は、前記情報処理装置から送信されてくる、暗号化されたユーザデータ及びユーザ識別子を受信する第２の受信手段と、前記第２の受信手段によって受信された、暗号化されたユーザデータ及びユーザ識別子を対応付けて記憶する第２の記憶手段とを有することを特徴とするサービス提供システムを提供する。

また、本発明は、情報処理装置が、ユーザに関するデータであるユーザデータを取得するユーザデータ取得ステップと、情報処理装置が、前記ユーザに割り当てられたユーザ識別子を取得するユーザ識別子取得ステップと、情報処理装置が、前記ユーザデータに基づいてユーザにサービスを提供するための手順が記述されたアプリケーションプログラムに割り当てられたアプリケーション識別子を取得するアプリケーション識別子取得ステップと、情報処理装置が、前記ユーザデータに基づいてユーザにサービスを提供する第１のサーバ装置に対し、前記アプリケーションプログラムが実行されているときに前記ユーザデータ取得ステップによって取得された前記ユーザデータを、当該アプリケーションプログラムに割り当てられたアプリケーション識別子と対応付けて送信し、前記第１のサーバ装置から前記サービスに関するサービス情報が送信されてくると、当該サービス情報を受信して出力する処理を行う第１の処理ステップと、情報処理装置が、暗号化された前記ユーザデータを前記ユーザ識別子に対応付けて保存する第２のサーバ装置に対し、暗号化したユーザデータを前記ユーザ識別子取得ステップによって取得されたユーザ識別子と対応付けて送信する処理を行う第２の処理ステップとを備えることを特徴とするサービス提供方法を提供する。

また、本発明は、コンピュータを、ユーザに関するデータであるユーザデータを取得するユーザデータ取得手段と、前記ユーザに割り当てられたユーザ識別子を取得するユーザ識別子取得手段と、前記ユーザデータに基づいてユーザにサービスを提供するための手順が記述されたアプリケーションプログラムに割り当てられたアプリケーション識別子を取得するアプリケーション識別子取得手段と、前記ユーザデータに基づいてユーザにサービスを提供する第１のサーバ装置に対し、前記アプリケーションプログラムが実行されているときに前記ユーザデータ取得手段によって取得された前記ユーザデータを、当該アプリケーションプログラムに割り当てられたアプリケーション識別子と対応付けて送信し、前記第１のサーバ装置から前記サービスに関するサービス情報が送信されてくると、当該サービス情報を受信して出力する処理を行う第１の処理手段と、暗号化された前記ユーザデータを前記ユーザ識別子に対応付けて保存する第２のサーバ装置に対し、暗号化したユーザデータを前記ユーザ識別子取得手段によって取得されたユーザ識別子と対応付けて送信する処理を行う第２の処理手段として機能させることを特徴とするプログラムを提供する。

本発明によれば、サービス提供者がユーザデータに基づいてサービスを提供する場合に、サービスを受けるユーザが誰であるかをそのサービス提供者が一意に特定出来なくするとともに、ユーザが所持する情報処理装置とは別の装置にユーザデータを保存する場合に、そのユーザデータがその装置外に漏洩したとしても、どのユーザのユーザデータがどのような内容であるか特定出来なくすることが可能となる。

実施形態に係るサービス提供システムのシステム構成を示すブロック図 クライアント端末のハードウェア構成を表すブロック図 クライアント端末に記憶される生体情報の一例を表す図 情報配信用サーバ装置のハードウェア構成を表すブロック図 情報配信用サーバ装置に記憶される生体情報の一例を表す図 バックアップ用サーバ装置のハードウェア構成を表すブロック図 バックアップデータの一例を表す図 アドバイザ端末のハードウェア構成を表すブロック図 クライアント端末の制御部の機能的構成を表すブロック図 アプリケーションのダウンロードに係る処理を表すシーケンス図 サーバ装置への生体情報の送信に係る処理を表すシーケンス図 アドバイスの登録及び参照に係る処理を表すシーケンス図 バックアップデータからのデータ復旧に係る処理を表すシーケンス図 変形例１に係るサービス提供システムの構成を概念的に表した模式図 変形例２に係るサービス提供システムの構成を概念的に表した模式図 ウェブサーバ装置のハードウェア構成を表すブロック図 データの同期処理を表すシーケンス図

＜実施形態＞
＜構成＞
図１は、実施形態に係るサービス提供システム１００のシステム構成を示すブロック図である。サービス提供システム１００は、クライアント端末１０、情報配信用サーバ装置２０、バックアップ用サーバ装置３０、アドバイザ端末４０、移動通信網ＮＷ及びインターネットＮＥＴにより構成される。これらのうち、クライアント端末１０及びアドバイザ端末４０は、複数存在していてもよい。クライアント端末１０は、情報処理装置の一例である。情報配信用サーバ装置２０は、第１のサーバ装置の一例である。バックアップ用サーバ装置３０は、第２のサーバ装置の一例である。アドバイザ端末４０は、入力端末の一例である。移動通信網ＮＷは、例えば携帯電話網や無線ＬＡＮ（Local Area Network）などの構内通信網を含む移動通信網である。インターネットＮＥＴは、通信事業者により提供される固定通信網である。

クライアント端末１０は、移動通信網ＮＷに接続して、インターネットＮＥＴを介することで、情報配信用サーバ装置２０及びバックアップ用サーバ装置３０と相互に通信を行う。また、インターネットＮＥＴを介して、アドバイザ端末４０は、情報配信用サーバ装置２０と相互に通信を行う。サービス提供システム１００は、システムの利用者であるユーザの各々がクライアント端末１０を用いて入力したデータに基づいて、各々のユーザに対して適切なサービスを提供するものである。本実施形態では、サービス提供システム１００の一例として、サービス提供者がスポーツクラブである場合を例に挙げて説明する。具体的には、本実施形態におけるサービス提供者は、スポーツクラブの運営者である法人である。ユーザがクライアント端末１０を用いて入力した体重や血圧などの、自身の生体に関する情報（以下、生体情報という）に対して、スポーツクラブの一員であるアドバイザは、アドバイザ端末４０を用いて健康管理のための適切なアドバイスを入力するというサービスを提供する。生体情報は、ユーザに関するデータであるユーザデータの一例である。また、アドバイスは、サービス情報の一例である。

クライアント端末１０は、サービス提供システム１００の利用者であるユーザが所持する端末である。クライアント端末１０は、例えば携帯電話機、無線ＬＡＮに接続可能な無線端末、有線或いは無線の通信機能を備えたＰＣ（Personal Computer）、又はカーナビゲーションシステムのような、情報配信用サーバ装置２０及びバックアップ用サーバ装置３０と通信が可能な通信端末であって、図１では携帯電話機の例を挙げている。情報配信用サーバ装置２０は、クライアント端末１０から送信されるユーザの生体情報を記憶するとともに、アドバイザ端末４０から入力されるアドバイスを生体情報と対応付けて記憶するコンピュータである。バックアップ用サーバ装置３０は、クライアント端末１０から送信されるユーザの生体情報をバックアップデータとして記憶するコンピュータである。アドバイザ端末４０は、スポーツクラブのアドバイザがアドバイスを入力するときに用いるコンピュータであり、例えば携帯電話機やＰＣのような端末であるが、本実施形態ではＰＣの例を挙げて説明する。

情報配信用サーバ装置２０及びバックアップ用サーバ装置３０の管理者は、その一例を挙げると、ネットワークＮＷに含まれる携帯電話網を介した通信サービスを事業として行う通信事業者である。サービス提供者であるスポーツクラブの一員であるアドバイザは、情報配信用サーバ装置２０及びバックアップ用サーバ装置３０の管理を自身で行う必要がなく、アドバイザ端末４０を用いてアドバイスの入力が行える。

ユーザは、サービスを受けるにあたって、まず、サービス提供者であるスポーツクラブと、書面あるいはインターネットなどを通じてサービス利用の契約を交わす。これを受けて、情報配信用サーバ装置２０及びバックアップ用サーバ装置３０の管理を行う通信事業者は、このユーザに対するユーザＩＤ及びパスワードの組を発行し、サービス提供者に通知する。そして、通信事業者は、バックアップ用サーバ装置３０において、上記通知に含まれるユーザＩＤについて、サービスの利用を許可する設定を行う。次に、サービス提供者は、これらのユーザＩＤ及びパスワードの組を、サービス利用時の認証に用いられる認証情報として、ユーザに郵送する。ユーザがこれを受け取る手段は、郵送以外の方法、例えばメールなどの電子的なメッセージであってもよい。そして、ユーザの操作に基づいて、クライアント端末１０は、受け取った認証情報を用いて、バックアップ用サーバ装置３０へのログインを行うとともに、サービスを受けるためのアプリケーションプログラム（以下、単にアプリケーションという）のダウンロード要求を送信する。バックアップ用サーバ装置３０は、受信した認証情報について、認証を行う。受信した認証情報に含まれるユーザＩＤについて、サービス利用の許可の設定がなされていた場合、認証は正常に完了し、このときアプリケーションのダウンロードの要求が受け入れられる。ここで、ユーザＩＤは、ユーザのそれぞれに固有のものであり、サービス提供者がユーザ管理のために一般的に保持するユーザプロファイルデータベースにおいてユーザＩＤをキーにして検索すると、ユーザの氏名などが分かってしまう。よって、ユーザＩＤは、ユーザ個人を一意に特定可能な情報である。このユーザＩＤは、ユーザ識別子の一例である。

そしてユーザは、サービス提供者の用意するウェブサイトを通じて、サービスを受けるためのアプリケーションをクライアント端末１０にダウンロードさせる。このウェブサイトは、例えばバックアップ用サーバ装置３０内に構築されている。本実施形態におけるアプリケーションは、ユーザの生体情報を管理するための手順が記述されたものであり、以下、健康管理アプリという。このアプリケーションには、アプリケーションの各々を一意に識別する識別子（以下、アプリＩＤという）が含まれている。クライアント端末１０は、情報配信用サーバ装置２０に対して生体情報の送信を行う際に、このアプリＩＤを付加して送信し、情報配信用サーバ装置２０は、受信した生体情報を、これに付加されたアプリＩＤと対応付けて記憶する。アプリＩＤは、アプリケーションがダウンロードされるごとに新たに採番されるため、同一のクライアント端末１０内または異なるクライアント端末１０間で同一のアプリＩＤのアプリケーションが存在することはない。ここで、アプリＩＤは、アプリケーションを一意に識別するものに過ぎず、ユーザＩＤのようなユーザ個人を一意に特定可能な情報ではない。なぜなら、アプリＩＤとユーザの氏名とを対応付けて記憶するようなデータベースは、このサービス提供システム１００内には存在しないからである。アプリＩＤは、アプリケーション識別子の一例である。

ユーザが、クライアント端末１０を用いて生体情報を入力すると、クライアント端末１０は、情報配信用サーバ装置２０に対しては、アプリＩＤを用いて通信を行い、生体情報を暗号化せずに送信する。一方、クライアント端末１０は、バックアップ用サーバ装置３０に対しては、認証情報であるユーザＩＤを用いた認証後に、暗号化した生体情報（以降、暗号化生体情報という）にユーザＩＤを付加して送信する。つまり、情報配信用サーバ装置２０に記憶される生体情報は、ユーザ個人を一意に特定可能な情報と対応付けられず、バックアップ用サーバ装置３０に記憶される暗号化生体情報のバックアップデータのみが、ユーザ個人を一意に特定可能な情報と対応付けられることになる。このように、ユーザＩＤとアプリＩＤが対応付けられて記憶する装置は、クライアント端末１０のみであるから、このクライアント端末以外において生体情報とユーザ個人を特定可能な情報とが結びつくことがない。よって、サービス提供者は、生体情報がどのユーザに関するものであるかを知りえないようになっている。

図２は、クライアント端末１０のハードウェア構成を表す機能ブロック図である。
クライアント端末１０は、制御部１１、記憶部１２、通信部１３、操作部１４及び表示部１５を備えており、これらの各部がバスを介して互いに接続されている。制御部１１は、ＣＰＵ（Central Processing Unit）、ＲＡＭ（Random Access Memory）及びＲＯＭ（Read Only Memory）を有する。ＣＰＵは、ＲＯＭや記憶部１２に記憶されているプログラムを読み出しＲＡＭにロードして実行することにより、クライアント端末１０の各部を制御する。

記憶部１２は、例えばＥＥＰＲＯＭ（Electrically Erasable and Programmable ROM）やフラッシュメモリなどの不揮発性の記憶手段であり、各種プログラムや閾値のほか、ユーザにより入力された生体情報を記憶する。通信部１３は、制御部１１の制御の下で、移動通信網ＮＷに接続するとともに、インターネットＮＥＴを介して、情報配信用サーバ装置２０及びバックアップ用サーバ装置３０と通信を行う。操作部１４は、複数のキーを有しており、ユーザによってこれらのキーが操作されるとその操作内容に応じた信号を制御部１１へ供給する。制御部１１は、この信号に基づいて操作内容を判断して処理を行う。ユーザは、操作部１４を用いて自身の生体情報を入力する。表示部１５は、液晶ディスプレイなどの表示体やＶＲＡＭ（Video Random Access Memory）などのメモリを備えており、制御部１１の制御の下で各種の画像を表示する。

図３は、クライアント端末１０に記憶される生体情報の一例を表す図である。生体情報は、測定日、体重、血圧、歩数およびアドバイスとを含む。測定日は、ユーザが自身の生体情報を測定した日付である。生体情報には、測定日ごとにユーザの測定した体重、血圧、歩数が含まれる。なお、これらの情報は一例に過ぎず、その他に血糖値や体脂肪率などが記述されてもよい。アドバイスは、アドバイザが入力したアドバイスの内容が記述される項目であり、アドバイザからのアドバイスを取得していない状態では空欄となる。この生体情報はアプリＩＤと対応付けられて記憶部１２に記憶されている。このアプリＩＤは、クライアント端末１０にダウンロードされた健康管理アプリに含まれるアプリＩＤである。

図４は、情報配信用サーバ装置２０のハードウェア構成を表すブロック図である。情報配信用サーバ装置２０は、制御部２１、記憶部２２及び通信部２３を備えており、これらの各部がバスを介して互いに接続されている。制御部２１は、ＣＰＵ、ＲＡＭ及びＲＯＭを有する。ＣＰＵは、ＲＯＭや記憶部２２に記憶されているプログラムを読み出しＲＡＭにロードして実行することにより、情報配信用サーバ装置２０の各部を制御する。記憶部２２は、例えばハードディスクなどの記憶手段であり、各種プログラムや閾値のほか、クライアント端末１０から送信されてくる生体情報を記憶する。通信部２３は、制御部２１の制御の下で、インターネットＮＥＴを介して、クライアント端末１０及びアドバイザ端末４０と通信を行う。記憶部２２は、第１の記憶手段の一例である。また、制御部２１と通信部２３は協働することにより、第１の受信手段及び第１の送信手段を実現する。

図５は、情報配信用サーバ装置２０に記憶される生体情報の一例を表す図である。この生体情報に含まれる内容は、クライアント端末１０に記憶される生体情報に含まれるものと同じ内容である。図５は、アドバイザがアドバイザ端末４０を用いてアドバイスの入力を行った後の状態を示す。アドバイスは、測定日ごとのユーザの生体情報に対してアドバイザが健康管理のために入力したアドバイスである。情報配信用サーバ装置２０に記憶される生体情報は、アプリＩＤと対応付けられている。このアプリＩＤは、クライアント端末１０が情報配信用サーバ装置２０に生体情報を送信するときに用いた健康管理アプリのアプリＩＤである。情報配信用サーバ装置２０は、クライアント端末１０から生体情報が送信されてくると、この通信に用いられたアプリＩＤと対応付けて、受信した生体情報を記憶する。

図６は、バックアップ用サーバ装置３０のハードウェア構成を表すブロック図である。バックアップ用サーバ装置３０は、制御部３１、記憶部３２及び通信部３３を備えており、これらの各部がバスを介して互いに接続されている。制御部３１は、ＣＰＵ、ＲＡＭ及びＲＯＭを有する。ＣＰＵは、ＲＯＭや記憶部３２に記憶されているプログラムを読み出しＲＡＭにロードして実行することにより、バックアップ用サーバ装置３０の各部を制御する。通信部３３は、制御部３１の制御の下で、インターネットＮＥＴを介して、クライアント端末１０と通信を行う。記憶部３２は、例えばハードディスクなどの記憶手段であり、各種プログラムや閾値のほか、認証情報の一覧を記憶するとともに、クライアント端末１０から送信されてくる暗号化生体情報をバックアップデータとして記憶する。認証情報の一覧は、全ユーザの各々に割り当てられたユーザＩＤ及びパスワードの組の集合である。記憶部３２は、第２の記憶手段の一例である。また、制御部３１と通信部３３は協働することにより、第２の受信手段を実現する。

図７は、バックアップデータの一例を表す図である。バックアップデータとして記憶される生体情報は、クライアント端末１０及び情報配信用サーバ装置２０に記憶される生体情報と同じ内容である。バックアップデータにおいては、生体情報がユーザＩＤと対応付けられている。この生体情報は暗号化されているが、ユーザＩＤは、生体情報そのものではないため、暗号化されない。図７で示すユーザＩＤは、クライアント端末１０がバックアップ用サーバ装置３０による認証時に用いたユーザＩＤであって、暗号化生体情報が送信される際にクライアント端末１０によって付加されたユーザＩＤである。

図８は、アドバイザ端末４０のハードウェア構成を表すブロック図である。アドバイザ端末４０は、制御部４１、記憶部４２、通信部４３、操作部４４及び表示部４５を備えており、これらの各部がバスを介して互いに接続されている。制御部４１は、ＣＰＵ、ＲＡＭ及びＲＯＭを有する。ＣＰＵは、ＲＯＭや記憶部４２に記憶されているプログラムを読み出しＲＡＭにロードして実行することにより、アドバイザ端末４０の各部を制御する。記憶部４２は、例えばハードディスクなどの記憶手段であり、各種プログラムを記憶する。通信部４３は、制御部４１の制御の下で、インターネットＮＥＴを介して、情報配信用サーバ装置２０と通信を行う。操作部４４は、複数のキーを有しており、アドバイザによってこれらのキーが操作されるとその操作内容に応じた信号を制御部４１へ供給する。制御部４１は、この信号に基づいて操作内容を判断して処理を行う。アドバイザは、操作部４４を用いてユーザの生体情報に対するアドバイスを入力する。表示部４５は、液晶ディスプレイなどの表示体やＶＲＡＭなどのメモリを備えており、制御部４１の制御の下で各種の画像を表示する。

図９は、クライアント端末１０の制御部１１の機能的構成を表すブロック図である。
アプリケーション識別子取得部１１１は、ユーザデータに基づいてユーザにサービスを提供するための手順が記述されたアプリケーションプログラムに割り当てられたアプリケーション識別子を取得する。ユーザデータ取得部１１２は、ユーザに関するデータであるユーザデータを取得する。ユーザ識別子取得部１１３は、ユーザに割り当てられたユーザ識別子を取得する。第１の処理部１１４は、ユーザデータに基づいてユーザにサービスを提供する第１のサーバ装置に対し、アプリケーションプログラムが実行されているときにユーザデータ取得手段によって取得されたユーザデータを、当該アプリケーションプログラムに割り当てられたアプリケーション識別子と対応付けて送信し、第１のサーバ装置からサービスに関するサービス情報が送信されてくると、当該サービス情報を受信して出力する処理を行う。第２の処理部１１５は、暗号化されたユーザデータをユーザ識別子に対応付けて保存する第２のサーバ装置に対し、暗号化したユーザデータをユーザ識別子取得手段によって取得されたユーザ識別子と対応付けて送信する処理を行う。

＜動作＞
次に、サービス提供システム１００の動作について説明する。
＜アプリケーションのダウンロードに係る動作＞
図１０は、アプリケーションのダウンロードに係る処理を表すシーケンス図である。図１０に示す処理が行われる事前に、ユーザは、サービス提供者との間でサービスの利用に関する契約を取り交わしており、書類又はメールなどにより認証情報としてユーザＩＤ及びパスワードの組を受け取っている。

まず、ユーザが、操作部１４を用いて認証情報をクライアント端末１０に入力すると、制御部１０がその入力を受け付ける（ステップＳａ１）。そして、クライアント端末１０の制御部１１が、通信部１３を用いて、入力された認証情報をバックアップ用サーバ装置３０に送信する（ステップＳａ２）。バックアップ用サーバ装置３０の制御部３１は、通信部３３を用いてこの認証情報を受信すると、記憶部３２に記憶された認証情報の一覧と、受信した認証情報とを照合し、ユーザ認証を行う（ステップＳａ３）。バックアップ用サーバ装置３０の制御部３１は、通信部３３を用いて、認証の結果をクライアント端末１０へ送信する（ステップＳａ４）。ここでは、認証が正常に完了したものとする。認証が正常に完了すると、次に、クライアント端末１０の制御部１１は、通信部１３を用いて、アプリケーションつまり健康管理アプリのダウンロードの要求をバックアップ用サーバ装置３０に送信する（ステップＳａ５）。バックアップ用サーバ装置３０の制御部３１は、通信部３３を用いてこの要求を受信すると、アプリＩＤの採番を行う（ステップＳａ６）。バックアップ用サーバ装置３０の記憶部３２は、採番済みのアプリＩＤが記述されたアプリＩＤ採番テーブルを記憶しており、制御部３１は、アプリＩＤ採番テーブルに記述されていないＩＤを新たなアプリＩＤとして採番し、採番したアプリＩＤをアプリＩＤ採番テーブルに記述して記憶部３２に記憶させる。

次に制御部３１は、ステップＳａ６で採番したアプリＩＤと、生体情報の送信先である情報配信用サーバ装置２０及びバックアップ用サーバ装置３０をそれぞれ一意に識別する識別子とを、アプリケーションのプログラムファイルに引数として埋め込むとともに、このプログラムファイルを含んだアプリケーションのインストールファイルを生成する（ステップＳａ７）。情報配信用サーバ装置２０及びバックアップ用サーバ装置３０を一意に識別する識別子とは、例えばＵＲＬ（Uniform Resource Locater）である。そして制御部３１は、通信部３３を用いて、生成したインストールファイルをクライアント端末１０に送信する（ステップＳａ８）。

クライアント端末１０の制御部１１は、通信部１３を用いてインストールファイルを受信すると、操作部１４を用いたユーザの指示に基づいてこれをＲＡＭに展開して、クライアント端末１０にアプリケーションをインストールする（ステップＳａ９）。このとき、制御部１１は、インストールファイルに含まれるアプリＩＤ及びＵＲＬを記憶部１２に記憶させる。次に、制御部１１は、生体情報をバックアップ用サーバ装置３０に送信するときの暗号化およびバックアップ用サーバ装置３０からバックアップデータを復旧するときの復号に用いられる暗号化／復号のキーの設定を促す画像を表示部１５に表示させ、ユーザによる暗号化／復号のキーの入力を受け付ける（ステップＳａ１０）。ここで、暗号化／復号のキーは任意の文字列であるものとする。ユーザは、操作部１４を用いて任意の文字列をクライアント端末１０に入力し、クライアント端末の制御部１１は、入力された文字列を暗号化／復号のキーとして記憶部１２に記憶させる。この暗号化／復号のキーは、情報配信用サーバ装置２０やバックアップ用サーバ装置３０を初めとして外部の他の端末に送信されることがなく、設定を行ったユーザ自身及びクライアント端末１０のみが知りえる情報である。暗号化／復号のキーは、キー情報の一例である。

次に、制御部１１は、認証情報の入力を促す画像を表示部１５に表示させて、認証情報の入力を受け付ける（ステップＳａ１１）。ユーザが操作部１４を用いて認証情報を入力すると、クライアント端末１０の制御部１１は、ダウンロードしたアプリケーションと入力された認証情報とを対応付けて記憶部１２に記憶させる。これにより、ユーザは、バックアップ用サーバ装置３０に暗号化生体情報が送信される際に、都度、認証情報を入力する手間を省略することが可能である。以上が、アプリケーションがダウンロードされるときの処理についての説明である。

＜生体情報の送信に係る動作＞
次に、クライアント端末１０が、情報配信用サーバ装置２０及びバックアップ用サーバ装置３０に対して生体情報を送信するときの処理について説明する。
図１１は、サーバ装置への生体情報の送信に係る処理を表すシーケンス図である。まず、ユーザが、操作部１４を用いてクライアント端末１０に自身の生体情報を入力すると、制御部１１は生体情報の入力を受け付ける（ステップＳｂ１）。次に、クライアント端末１０の制御部１１は、ステップＳａ１０で設定されて記憶部１２に記憶された暗号化／復号のキーを用いて、入力された生体情報を暗号化し、これを記憶部１２に記憶させる（ステップＳｂ２）。このとき暗号化される内容は、生体情報そのものに限り、アプリＩＤは暗号化されない。

次に、クライアント端末１０の制御部１１は、通信部１３を用いて、記憶部１２に記憶された認証情報をバックアップ用サーバ装置３０に送信する（ステップＳｂ３）。バックアップ用サーバ装置３０の制御部３１は、通信部３３を用いてこれを受信すると、記憶部３２に記憶された認証情報の一覧と、受信した認証情報とを照合し、ユーザ認証を行う（ステップＳｂ４）。バックアップ用サーバ装置３０の制御部３１は、通信部３３を用いて、認証の結果をクライアント端末１０へ送信する（ステップＳｂ５）。ここでは、認証が正常に完了したものとする。認証が正常に完了すると、制御部１１は、通信部１３を用いて、暗号化生体情報をユーザＩＤと対応付けてバックアップ用サーバ装置３０に送信する（ステップＳｂ６）。バックアップ用サーバ装置３０の制御部３１は、通信部３３を用いてこれを受信すると、受信した暗号化生体情報を受信したユーザＩＤと対応付けてバックアップデータとして記憶部３２に記憶させる（ステップＳｂ７）。ここで、或る情報を他の情報と対応付けて送信するとは、両者を１つの送信データに含めて送信することを指し、或る情報を他の情報と対応付けて受信するとは、両者が１つの受信データに含まれた状態で受信することを指す。これらは、以降において同様である。

次に、クライアント端末１０の制御部１１は、通信部１３を用いて、記憶部１２に記憶された生体情報に対応付けられたアプリＩＤをＵＲＬの引数に指定して、情報配信用サーバ装置２０に送信する（ステップＳｂ８）。情報配信用サーバ装置２０の制御部２１は、記憶部２２に記憶されたアプリＩＤ採番テーブルと受信したアプリＩＤとを照合して、認証を行う（ステップＳｂ９）。情報配信用サーバ装置２０の制御部２１は、通信部２３を用いて、認証の結果をクライアント端末１０へ送信する（ステップＳｂ１０）。ここでは、認証が正常に完了したものとする。認証が正常に完了すると、制御部１１は、入力された生体情報を暗号化する（ステップＳｂ１１）。この暗号化には、クライアント端末１０及びバックアップ用サーバ装置３０しか知りえないような上述の暗号化／復号のキーは用いられず、ＳＳＬ（Secure Socket Layer）などの一般的な暗号化手段が用いられる。そして、制御部１１は、通信部１３を用いて、ＳＳＬで暗号化された生体情報を情報配信用サーバ装置２０へ送信する（ステップＳｂ１２）。このときの生体情報には、ユーザＩＤは付加されない。情報配信用サーバ装置２０の制御部２１は、通信部２３を用いてこれを受信すると、受信した生体情報を復号する（ステップＳｂ１３）。そして制御部２１は、復号した生体情報を受信したアプリＩＤと対応付けて記憶部２２に記憶させる（ステップＳｂ１４）。以上が、生体情報が情報配信用サーバ装置２０に送信されるときの処理についての説明である。

＜アドバイスの入力及び参照に係る動作＞
次に、アドバイザが生体情報に対してアドバイスを入力し、ユーザがこれを参照するときの処理について説明する。
図１２は、アドバイスの登録及び参照に係る処理を表すシーケンス図である。まず、アドバイザ端末４０の操作部４４を用いたアドバイザの指示に基づいて、アドバイザ端末４０の制御部４１は、通信部４３を用いて、ユーザの生体情報の要求を情報配信用サーバ装置２０に送信する（ステップＳｃ１）。通信部２３を用いてこれを受信した情報配信用サーバ装置２０の制御部２１は、通信部２３を用いて、記憶部２２に記憶されたユーザの生体情報を、この生体情報と対応付けられたアプリＩＤとともに、アドバイザ端末４０に送信する（ステップＳｃ２）。通信部４３を用いてこれを受信したアドバイザ端末４０の制御部４１は、受信した生体情報を受信したアプリＩＤごとに表示部４５に表示させ、アドバイザは、操作部４４を用いて、表示された生体情報に対してアドバイザ端末４０にアドバイスを入力する（ステップＳｃ３）。表示部４５は表示手段の一例であり、操作部４４は、操作手段の一例である。ステップＳｃ３においてアドバイザが参照可能な生体情報は、ユーザＩＤとは対応付いておらず、アプリＩＤとのみ対応付いているため、アドバイザは、各々の生体情報から、ユーザのうち個人を特定することが不可能である。アドバイスは、例えばアプリＩＤ及び測定日の組をキーとして各々の生体情報と対応付けられる。アドバイザによるアドバイスの入力が完了すると、アドバイザ端末４０の制御部４１は、入力されたアドバイスを各々の生体情報と対応付けて、通信部４３を用いて、これらの生体情報と対応付けられたアプリＩＤとともに情報配信用サーバ装置２０に送信する（ステップＳｃ４）。通信部２３を用いてこれを受信した情報配信用サーバ装置２０の制御部２１は、受信したアドバイスを、受信したアプリＩＤと対応付けられた生体情報の各々と対応付けて記憶部２２に記憶させる（ステップＳｃ５）。

ステップＳｃ５の次に、操作部１４を用いたユーザによる指示に基づいて、クライアント端末１０の制御部１１は、通信部１３を用いて、アドバイスのダウンロード要求を自身のアプリＩＤと対応付けて情報配信用サーバ装置２０に送信する（ステップＳｃ６）。情報配信用サーバ装置２０の制御部２１は、通信部２３を用いてこれを受信すると、記憶部２２に記憶された生体情報のうち、受信したアプリＩＤと対応付けられた生体情報に含まれるアドバイスを、これらの生体情報及び受信したアプリＩＤと対応付けて通信部２３を用いてクライアント端末１０に送信する（ステップＳｃ７）。クライアント端末１０の制御部１１は、通信部１３を用いてこれを受信すると、受信したアドバイスを、受信したアプリＩＤに対応付けられた生体情報の各々と対応付けて記憶部１２に記憶させる（ステップＳｃ８）。そして制御部１１は、アドバイスを含む生体情報を表示部１５に表示させる（ステップＳｃ９）。ユーザは、表示されたアドバイスを参照し、自身の健康管理に役立てることが可能である。

＜バックアップデータの復旧に係る動作＞
次に、バックアップ用サーバ装置３０に記憶されたバックアップデータからデータの復旧が行われるときの処理について説明する。
図１３は、バックアップデータからのデータ復旧に係る処理を表すシーケンス図である。
バックアップからのデータの復旧は、例えば、ユーザが、クライアント端末１０の記憶部１２に記憶されたデータを誤った操作により削除したり、クライアント端末１０を新たに買い換えたりしたときに必要となる。ここでは、ユーザが、クライアント端末１０からクライアント端末１０ａに買い替えた場合を例に挙げて説明する。ここで、クライアント端末１０及びクライアント端末１０ａは、上述したハードウェア構成をともに備えているものとする。

まず、ユーザは、操作部１４を用いて、新しいクライアント端末１０ａに対してアプリケーションのインストール及び各種設定を行う（ステップＳｄ１）。ステップＳｄ１の処理では、具体的には、図１０で説明した一連の処理と同様の内容が行われる。次に、クライアント端末１０の制御部１１は、通信部１３を用いて、記憶部１２に記憶された認証情報をバックアップ用サーバ装置３０に送信する（ステップＳｄ２）。バックアップ用サーバ装置３０の制御部３１は、通信部３３を用いてこれを受信すると、記憶部３２に記憶された認証情報の一覧と、受信した認証情報とを照合し、ユーザ認証を行う（ステップＳｄ３）。バックアップ用サーバ装置３０の制御部３１は、通信部３３を用いて、認証の結果をクライアント端末１０へ送信する（ステップＳｄ４）。ここでは、認証が正常に完了したものとする。認証が正常に完了すると、制御部１１は、通信部１３を用いて、バックアップデータのダウンロード要求をユーザＩＤと対応付けてバックアップ用サーバ装置３０に送信する（ステップＳｄ５）。バックアップ用サーバ装置３０の制御部３１は、通信部３３を用いてこれを受信すると、記憶部３２に記憶されたバックアップデータのうち、受信したユーザＩＤと対応付けられた暗号化生体情報を抽出し、通信部３３を用いてこれをクライアント端末１０ａに送信する（ステップＳｄ６）。クライアント端末１０ａの制御部１１は、通信部１３を用いてこれを受信すると、記憶部１２に記憶された暗号化／復号のキーを用いて、受信した暗号化生体情報を復号する（ステップＳｄ７）。制御部１１は、復号された生体情報を、この生体情報と対応付けられたアプリＩＤごとに記憶部１２に記憶させる（ステップＳｄ８）。

このように、本実施形態によれば、ユーザが、情報配信用サーバ装置２０に対して生体情報を送信する際には、個人を一意に特定可能な情報ではないアプリＩＤと生体情報とが結びつけられるとともに、暗号化されないことでアドバイザによって内容が参照可能な状態の生体情報が、情報配信用サーバ装置２０に記憶される。また、ユーザが、バックアップ用サーバ装置３０に対してバックアップデータ用に生体情報を送信する際には、個人を一意に特定可能な情報であるユーザＩＤと生体情報とが結びつけられるとともに、暗号化されることでアドバイザを初めとする第三者により内容が参照不可能な状態の生体情報が、バックアップ用サーバ装置３０に記憶される。また、アドバイザがアドバイザ端末４０を用いて情報を参照可能なのは情報配信用サーバ装置２０に記憶されたユーザデータのみであるから、アドバイザが参照可能なユーザデータと個人を特定可能な情報とが結びつくことがなく、サービス提供者は、バックアップデータを参照して、ユーザのユーザデータがどのような内容であるか特定することが不可能となっている。また、暗号化及び復号に用いられるキーは、キーの設定を行ったユーザ自身及びユーザの所持するクライアント端末１０のみが記憶しているため、もしバックアップ用サーバ装置３０に記憶された内容が外部に漏洩したとしても、個人情報の流出となることがない。
このように、本実施形態によれば、サービス提供者がユーザデータに基づいてサービスを提供する場合に、サービスを受けるユーザが誰であるかをそのサービス提供者が一意に特定出来なくするとともに、ユーザが所持する情報処理装置とは別の装置にユーザデータを保存する場合に、そのユーザデータがその装置外に漏洩したとしても、どのユーザのユーザデータがどのような内容であるか特定出来なくすることが可能となる。

＜変形例＞
以上の実施形態は、以下のように変形可能である。なお、以下に述べる変形例は、適宜組み合わせて実施してもよい。

＜変形例１＞
実施形態においては、アプリケーションが一つの例を挙げたが、アプリケーションは複数であってもよい。
図１４は、変形例１に係るサービス提供システム１００ａの構成を概念的に表した模式図である。サービス提供システム１００ａは、クライアント端末１０ａと、情報配信用サーバ装置２０ａ，２０ｂ，２０ｃと、バックアップ用サーバ装置３０と、図１に示した移動通信網ＮＷ、インターネットＮＥＴ及びアドバイザ端末４０とにより構成される。なお、情報配信用サーバ装置２０ａ，２０ｂ，２０ｃの各々を区別しないときには、単に情報配信用サーバ装置２０という。また、図示した情報配信用サーバ装置２０の個数はあくまでも一例に過ぎない。また、図１４において、実施形態と異なる部分を強調して説明するために、便宜上、移動通信網ＮＷ、インターネットＮＥＴ及びアドバイザ端末４０を図示していないが、クライアント端末１０ａは、移動通信網ＮＷに接続するとともにインターネットＮＥＴを介して情報配信用サーバ装置２０及びバックアップ用サーバ装置３０と通信を行い、アドバイザ端末４０は、インターネットＮＥＴを介して情報配信用サーバ装置２０と通信を行う。

クライアント端末１０ａは、ユーザがサービスを受けるための複数のアプリケーションを管理することが可能であり、これらアプリケーションの各々を、子アプリという。一方、これら複数の子アプリを管理するとともに、子アプリに入力されたユーザデータのバックアップを行うアプリケーションのことを親アプリという。子アプリの各々には、それぞれ異なるアプリＩＤが付加されている。例えば、図１４に示す子アプリＡが、実施形態における健康管理アプリであり、子アプリＢが、薬の服薬状況を管理する服薬管理アプリであり、子アプリＣが、食事内容を管理する食事管理である、といった具合に、子アプリの内容は各々異なっている。変形例１においては、子アプリの実行時にユーザが入力するデータの内容が生体情報に限らず各々異なるが、これらのデータの各々が、ユーザデータに相当する。また、子アプリの各々に対してユーザが入力したデータであるユーザデータは、記憶部１２に記憶される。

ユーザは、サービス提供システム１００ａを利用するにあたり、初めに、アプリケーションを配信するサーバ装置（ここではバックアップ用サーバ装置３０とする）から親アプリをクライアント端末１０ａにダウンロードさせ、インストールさせておく。ユーザは、親アプリをクライアント端末１０ａにダウンロードさせた後に、操作部１４を用いて暗号化／復号のキーの設定を行う。親アプリには、設定された暗号化／復号のキーが含まれる。また、記憶部１２は、親アプリと、子アプリの各々に付加されたアプリＩＤとを対応付けた管理表を記憶している。この管理表には、子アプリの各々について、バックアップ対象とするか否かのフラグが記述されている。フラグがオンの状態の場合、その子アプリはバックアップ対象となり、フラグがオフの場合、その子アプリはバックアップ対象外となる。ユーザは、この管理表の内容について操作部１４を用いて変更可能であり、バックアップの対象としたい子アプリについての上記フラグのみをオンに設定することができる。また、クライアント端末１０ａが、子アプリの各々をバックアップ用サーバ装置３０から自装置にダウンロードする際には、各子アプリからのユーザデータの送信先である情報配信用サーバ装置２０及びバックアップ用サーバ装置３０のＵＲＬと、各々の子アプリのアプリＩＤとが対応付けられた状態でダウンロードされる。

このような構成において、例えば、ユーザが、操作部１４を用いて子アプリＡに対してユーザデータを入力すると、クライアント端末１０ａの制御部１１は、通信部１３を用いて、アプリＩＤを引数として子アプリＡと対応付けられたＵＲＬを指定することで、情報配信用サーバ装置２０ａと通信を行う。情報配信用サーバ装置２０の制御部２１は、記憶部２２に記憶されたアプリＩＤ採番テーブルと受信したアプリＩＤとを照合して、上述した認証を行う。認証が正常に完了すると、クライアント端末１０ａの制御部１１は、入力されたユーザデータを例えばＳＳＬで暗号化する。そして、制御部１１は、通信部１３を用いて、ＳＳＬで暗号化されたユーザデータを、子アプリＡのアプリＩＤ（アプリＩＤａ）と対応付けて情報配信用サーバ装置２０へ送信する。情報配信用サーバ装置２０の制御部２１は、通信部２３を用いてこれを受信すると、受信したユーザデータを復号する。そして制御部２１は、復号したユーザデータを受信したアプリＩＤと対応付けて記憶部２２に記憶させる。この一連の動作は、他の子アプリについても同様である。変形例１におけるユーザデータの情報配信用サーバ装置２０への送信については、データの送信先となる情報配信用サーバ装置２０が子アプリによって異なるだけであって、実施形態と同様である。

一方、変形例１において、データバックアップの際の動作は、実施形態と異なる。変形例１においては、クライアント端末１０ａの制御部１１は、ユーザデータを情報配信用サーバ装置２０へ送信する度に、バックアップ用サーバ装置３０への送信も行うのではなく、予め決められたタイミングで、認証情報を用いた認証の完了後、暗号化／復号キーを用いて対象となる子アプリのユーザデータを一括して暗号化し、暗号化されたユーザデータ（以下、暗号化ユーザデータという）をユーザＩＤと対応付けてまとめてバックアップ用サーバ装置３０に送信する。ここで、対象となる子アプリとは、記憶部１２に記憶された管理表において、バックアップ対象であるか否かのフラグがオンとなっている子アプリのことである。また、ここで、ユーザデータをまとめて送信するとは、制御部１１が、記憶部１２に記憶されたユーザデータのうち、対象となる子アプリのアプリＩＤと対応付けられたユーザデータを抽出し、これらを１つの送信データに含めて送信することを表す。また、ここで、予め決められたタイミングとは、例えば、毎日０：００や、日曜日の３：００や、月末の３：００であり、記憶部１２にパラメータとして記憶されている。ユーザは、操作部１４を用いて、このパラメータを任意に変更可能である。

このように、変形例１によれば、クライアント端末１０ａにおいて複数のアプリケーションを管理することが可能であるとともに、データバックアップの処理は、親アプリによりまとめて行われる。これにより、クライアント端末１０ａとバックアップ用サーバ装置３０との通信回数が減るため、ユーザにとっては通信コストを抑えることができる。また、移動通信網ＮＷ及びインターネットＮＥＴにかかる負荷が減少することで、輻輳などの障害が起き難く、サービス提供者にとっては管理コストを抑えることができるとともに、ユーザにとってはサービスを快適に受けやすくなる。また、サービス提供者は、バックアップ機能を持たない子アプリだけを開発すればよいので、工数が減り、サービスを提供するためのコストを抑えることができる。

＜変形例２＞
ユーザが、アプリケーションのダウンロードを必要とせずに、ユーザデータの入力を可能としてもよい。
図１５は、変形例２に係るサービス提供システム１００ｂの構成を概念的に表した模式図である。サービス提供システム１００ｂは、クライアント端末１０ｂと、情報配信用サーバ装置２０と、バックアップ用サーバ装置３０と、ウェブサーバ装置５０ａ及び５０ｂと、図１に示した移動通信網ＮＷ、インターネットＮＥＴ及びアドバイザ端末４０により構成される。移動通信網ＮＷ、インターネットＮＥＴ及びアドバイザ端末４０に関しては、変形例１で説明したのと同様である。以降において、ウェブサーバ装置５０ａ及び５０ｂを特に区別しない場合は、単にウェブサーバ装置５０という。変形例２では、ユーザは、クライアント端末１０ｂにダウンロードさせたアプリケーションを用いるのではなく、ＨＴＭＬ（Hyper Text Markup Language）５に対応したウェブブラウザを用いて、ユーザデータの入力を行う。ＨＴＭＬ５は、ウェブブラウザからサイトを通じてウェブアプリケーション（以下、ウェブアプリという）へのアクセス及び利用を実現可能とするマークアップ言語である。以下、このようなウェブアプリへのアクセスを可能とするサイトを、サービスサイトという。サービスサイトは、例えばウェブサーバ装置５０内に構築されている。ウェブアプリは、ウェブサーバ装置５０に記憶されているアプリケーションであり、ユーザは、ＨＴＭＬ５対応ブラウザを用いることで、サービスサイトを通じてウェブアプリを利用することが可能である。ユーザは、予め移動通信網ＮＷ及びインターネットＮＥＴ通じて、サービスサイトからＨＴＭＬ５対応ブラウザをクライアント端末１０ｂにダウンロードさせ、インストールさせている。ユーザは、ＨＴＭＬ５対応のブラウザを用いてサービスサイトにアクセスすることで、クライアント端末１０ｂにアプリケーションをダウンロードさせることなく、ウェブサーバ装置５０に記憶されているウェブアプリを利用することが可能である。

図１６は、ウェブサーバ装置５０のハードウェア構成を表すブロック図である。ウェブサーバ装置５０は、制御部５１、記憶部５２及び通信部５３を備えており、これらの各部がバスを介して互いに接続されている。制御部５１は、ＣＰＵ、ＲＡＭ及びＲＯＭを有する。ＣＰＵは、ＲＯＭや記憶部５２に記憶されているプログラムを読み出しＲＡＭにロードして実行することにより、ウェブサーバ装置５０の各部を制御する。記憶部５２は、例えばハードディスクなどの記憶手段であり、各種プログラムや閾値、及びウェブアプリを記憶する。通信部５３は、制御部５１の制御の下で、ネットワークＮＷを介して、クライアント端末１０ｂ、情報配信用サーバ装置２０、バックアップ用サーバ装置３０及びアドバイザ端末４０と通信を行う。

変形例２では、サービス提供システム１００ｂに係るアプリケーションがクライアント端末１０ｂにダウンロードされないが、各ウェブアプリを一意に識別する識別子として、実施形態と同様のアプリＩＤが用いられる。ユーザが、サービスサイト上のウェブアプリのうち、任意のものを使用したい場合、初めにアプリＩＤの採番が行われる。この場合、まず、操作部１４を用いたユーザの指示に基づいて、クライアント端末１０ｂの制御部１１は、通信部１３及びＨＴＭＬ５対応ブラウザを用いてサービスサイトに接続する。そしてユーザが、操作部１４を用いて或るウェブアプリの使用開始を指示すると、ウェブサーバ装置５０の制御部５１は、アプリＩＤの採番を行う。ウェブサーバ装置５０の記憶部５２は、採番済みのアプリＩＤが記述されたアプリＩＤ採番テーブルを記憶しており、制御部５１は、アプリＩＤ採番テーブルに記述されていないＩＤを新たなアプリＩＤとして採番し、採番したアプリＩＤをアプリＩＤ採番テーブルに記述して記憶部５２に記憶させる。そして制御部５１は、採番したアプリＩＤを、ユーザデータの送信先である情報配信用サーバ装置２０及びバックアップ用サーバ装置３０のＵＲＬと対応付けて、通信部５３を用いてクライアント端末１０ｂに送信する。クライアント端末１０ｂの制御部１１は、通信部１３を用いてこれを受信すると、受信したアプリＩＤを記憶部１２に記憶させる。

データ入力の際には、まず、操作部１４を用いたユーザの指示に基づき、クライアント端末１０ｂの制御部１１は、通信部１３及びＨＴＭＬ５対応ブラウザを用いてサービスサイトに接続する。このとき、ＨＴＭＬ５対応ブラウザ上には、ユーザが利用可能なウェブアプリの一覧が表示される。そして、ユーザが、操作部１４を用いて、利用したいウェブアプリを指定すると、クライアント端末１０ｂの制御部１１は、通信部１３を用いて、指定されたウェブアプリのアプリＩＤをＵＲＬの引数としてサービスサイトに接続することで、上記ウェブアプリと通信を行う。このとき、通信先である情報配信用サーバ装置２０のＵＲＬと、サービスサイトのＵＲＬの引数にウェブアプリのアプリＩＤを指定したものが、クライアント端末１０ｂからウェブサーバ装置５０ａに送信される。ウェブサーバ装置５０ａの制御部５１は、通信部５３を用いてこれを受信すると、受信したＵＲＬが示す情報配信用サーバ装置２０に対して、アプリＩＤを送信する。情報配信用サーバ装置２０の制御部２１は、通信部２３を用いてこれを受信すると、記憶部２２に記憶されたアプリＩＤ採番テーブルと受信したアプリＩＤとを照合して、認証を行う。情報配信用サーバ装置２０の制御部２１は、通信部２３を用いて、認証の結果をクライアント端末１０ｂに送信する。認証が正常に完了すると、クライアント端末１０ｂの制御部１１は、入力されたユーザデータを例えばＳＳＬで暗号化する。そして、制御部１１は、通信部１３を用いて、ＳＳＬで暗号化されたユーザデータを、子アプリＡのアプリＩＤ（アプリＩＤａ）と対応付けて、引数にアプリＩＤａを指定した情報配信用サーバ装置２０のＵＲＬとともにウェブサーバ装置５０へ送信する。ウェブサーバ装置５０の制御部５１は、通信部５３を用いてこれを受信すると、受信した暗号化されたユーザデータをアプリＩＤａと対応付けて、受信したＵＲＬが示す情報配信用サーバ装置２０へ送信する。情報配信用サーバ装置２０の制御部２１は、通信部２３を用いてこれを受信すると、受信したユーザデータをＳＳＬの方式で復号する。そして制御部２１は、復号したユーザデータを受信したアプリＩＤと対応付けて記憶部２２に記憶させる。

また、制御部１１は、通信部１３及び認証情報を用いて、ウェブサーバ装置５０ｂを経由してバックアップサーバ装置３０に対する認証を行う。具体的には、制御部１１は、通信部１３を用いて、認証情報及びバックアップサーバ装置３０のＵＲＬをウェブサーバ装置５０ｂに送信する。ウェブサーバ装置５０ｂの制御部５１は、通信部５３を用いてこれを受信すると、受信したＵＲＬが示すバックアップサーバ装置３０に対して認証情報を転送する。バックアップサーバ装置３０の制御部３１は、受信した認証情報と記憶部３２に記憶された認証情報の一覧とを照合し、認証を行う。制御部３１は、通信部３３を用いて、認証の結果をウェブサーバ装置５０ｂに送信する。ウェブサーバ装置５０ｂの制御部５１は、通信部５３を用いてこれを受信すると、認証の結果をクライアント端末１０ｂに転送する。ここでは、認証が正常に完了したものとする。

認証が正常に完了すると、制御部１１は、入力されたユーザデータを暗号化／復号のキーを用いて暗号化する。そして制御部１１は、通信部１３を用いて、暗号化ユーザデータとユーザＩＤとバックアップサーバ装置３０のＩＰアドレスとを対応付けてウェブサーバ装置５０ｂに送信する。ウェブサーバ装置５０ｂの制御部５１は、通信部５３を用いてこれを受信すると、受信したＩＰアドレスが示すバックアップサーバ装置３０に対して、暗号化ユーザデータと受信したユーザＩＤとを対応付けて転送する。通信部３３を用いてこれを受信したバックアップ用サーバ装置３０の制御部３１は、暗号化ユーザデータを受信したユーザＩＤと対応付けて記憶部３２に記憶させる。

変形例２によれば、ユーザは、アプリケーションを自装置のクライアント端末１０ｂにダウンロードする手間を省略することができる。また、ユーザは、ダウンロードに係る通信コストを抑えることもできる。また、ダウンロードに係る通信が発生しないため、移動通信網ＮＷ及びインターネットＮＥＴの負荷を抑えることができ、サービス提供者にとっては管理コストを抑えることができる。また、ウェブアプリのバージョンアップが発生した際に、ユーザは、アプリケーションをダウンロードし直す手間が省けるとともに、サービス提供者にとってはアプリケーションを再配布する手間を省くことができる。

＜変形例３＞
同一のユーザが、異なる複数のクライアント端末１０を用いてサービス提供システム１００を利用する場合、異なるクライアント端末１０どうしがユーザデータの同期を取るようにしてもよい。変形例３は、例えば、ユーザが、携帯電話機と自宅のＰＣのように、２つのクライアント端末１０を用いる場合である。ここで、携帯電話機をクライアント端末１０Ｘとし、自宅のＰＣをクライアント端末１０Ｙとする。また、ここで、ユーザが利用するアプリケーションは健康管理アプリのみであるとする。また、変形例３では、クライアント端末１０Ｘに記憶された暗号化／復号のキーと、クライアント端末１０Ｙに記憶された暗号化／復号のキーとは、同一ユーザによるものであるため同じ内容が設定されている。

アプリＩＤはダウンロードされるたびに採番されるから、クライアント端末１０Ｘに記憶されるアプリＩＤと、クライアント端末１０Ｙに記憶されるアプリＩＤとは異なる。情報配信用サーバ装置２０へのユーザデータの送信はアプリＩＤを用いて行われるから、この場合、情報配信用サーバ装置２０に記憶されるユーザデータは、クライアント端末１０Ｘから入力されたものと、クライアント端末１０Ｙから入力されたものとが、対応付けられることなく別々のものとなる。つまり、クライアント端末１０Ｘから参照可能なユーザデータと、クライアント端末１０Ｙから参照可能なユーザデータとは異なっている。一方、バックアップ用サーバ装置３０へ送信される暗号化ユーザデータはユーザＩＤと対応付けられているから、バックアップ用サーバ装置３０に記憶されるユーザデータは、クライアント端末１０Ｘから入力されたものと、クライアント端末１０Ｙから入力されたものとが、ユーザＩＤで対応付けられている。

ユーザが、クライアント端末１０Ｘまたはクライアント端末１０Ｙのいずれかから、クライアント端末１０Ｘから入力されたユーザデータ及びクライアント端末１０Ｙから入力されたユーザデータの双方を参照可能としたい場合、データの同期処理が必要となる。
図１７は、データの同期処理を表すシーケンス図である。この場合、まず、ユーザが、操作部１４を用いて、クライアント端末１０Ｘに対してデータを同期させる指示を行うと、制御部１１は、これを受け付ける（ステップＳｅ１）。次に、クライアント端末１０Ｘの制御部１１は、通信部１３を用いて、ユーザＩＤを含む同期の指示をバックアップ用サーバ装置３０に送信する（ステップＳｅ２）。バックアップ用サーバ装置３０の制御部３１は、通信部３３を用いてこれを受信すると、通信部３３を用いて、受信したユーザＩＤと対応付けられた暗号化ユーザデータをクライアント端末１０Ｘに送信する（ステップＳｅ３）。クライアント端末１０Ｘの制御部１１は、通信部１３を用いてこれを受信すると、暗号化／復号のキーを用いて、受信した暗号化ユーザデータを復号し、復号されたユーザデータを記憶部１２に記憶させる（ステップＳｅ４）。これにより、クライアント端末１０Ｘに記憶されているユーザデータは、クライアント端末１０Ｘから入力されたものと、クライアント端末１０Ｙから入力されたものとが合わさったものとなる。また、クライアント端末１０Ｙは、操作部１４を用いたユーザの操作に基づいて、クライアント端末１０Ｘの場合と同様の処理を行う。これにより、クライアント端末１０Ｘに記憶されるユーザデータと、クライアント端末１０Ｙに記憶されるユーザデータとの同期が取られた状態となる。その後、クライアント端末１０Ｘまたはクライアント端末１０Ｙから情報配信用サーバ装置２０へのデータ送信が発生したタイミングで、情報配信用サーバ装置２０内におけるデータの同期が取られることとなる。

変形例３によれば、ユーザは、複数のクライアント端末１０を用いて同一のアプリケーションを利用する場合であっても、どのクライアント端末１０を用いても、自身の管理する全てのクライアント端末１０から入力されたユーザデータを参照することが可能となるため、参照の際にクライアント端末１０を使い分ける手間が省ける。

＜変形例４＞
実施形態では、サービス提供者がスポーツクラブである例を挙げたが、これに限らず、病院の医療情報管理システムや、薬の服薬管理システムや、食事管理システムにも適用可能である。要するに、ユーザの入力するデータに個人情報が含まれ、サービス提供者がユーザデータを参照する際に個人を特定不可能であることが望ましいシステムであれば、適用可能である。

＜変形例５＞
実施形態においては、ステップＳｃ６におけるアドバイスのダウンロード要求の指示は、ユーザによるものであったが、このような手動の方法に限らず、予め決められたタイミングで制御部１１が行うようにしてもよい。この予め決められたタイミングは、例えば、毎日０：００や、日曜日の３：００や、月末の３：００といったものであり、記憶部１２にパラメータとして記憶されている。ユーザは、操作部１４を用いて、このパラメータを任意に変更可能である。

＜変形例６＞
クライアント端末１０が、情報配信用サーバ装置２０にユーザデータを送信する際には、ＳＳＬによる暗号化は必須ではなく、その他の暗号化手段を用いてもよい。

＜変形例７＞
実施形態においては、アプリケーション配布用ウェブサイトは、バックアップ用サーバ装置３０内に構築されているものとしたが、これに限らず、情報配信用サーバ装置２０内に構築されてもよいし、その他のサーバ装置内に構築されてもよい。

＜変形例８＞
本発明は、クライアント端末１０のコンピュータに本発明を実現させるためのプログラムや、かかるプログラムを記憶させた光ディスク等の記録媒体としても特定され得る。本発明に係るプログラムは、インターネット等のネットワークを介して、クライアント端末１０にダウンロードさせ、これをインストールして利用可能にするなどの形態でも提供され得る。

１０，１０ａ，１０ｂ、１０Ｘ，１０Ｙ…クライアント端末、２０，２０ａ，２０ｂ，２０ｃ…情報配信用サーバ装置、３０…バックアップ用サーバ装置、４０…アドバイザ端末、５０…ウェブサーバ装置、１１，２１，３１，４１，５１…制御部、１２，２２，３２，４２，５２…記憶部、１３，２３，３３，４３，５３…通信部、１４，４４…操作部、１５，４５…表示部、１００，１００ａ，１００ｂ…サービス提供システム、ＮＷ…移動通信網、ＮＥＴ…インターネット

Claims (7)

1. ユーザに関するデータであって、前記ユーザ個人を特定可能な情報を含まないユーザデータを取得するユーザデータ取得手段と、
   前記ユーザに一意に割り当てられたユーザ識別子を取得するユーザ識別子取得手段と、
   前記ユーザデータに基づいてユーザにサービスを提供するための手順が記述されたアプリケーションプログラムについて自装置に一意に割り当てられたアプリケーション識別子を取得するアプリケーション識別子取得手段と、
   前記ユーザデータに基づいてユーザにサービスを提供する第１のサーバ装置に対し、前記アプリケーションプログラムが実行されているときに前記ユーザデータ取得手段によって取得された前記ユーザデータを、当該アプリケーションプログラムについて自装置に一意に割り当てられたアプリケーション識別子と対応付けて送信し、前記第１のサーバ装置から前記サービスに関するサービス情報が送信されてくると、当該サービス情報を受信して出力する処理を行う第１の処理手段と、
   暗号化された前記ユーザデータを前記ユーザ識別子に対応付けて保存する第２のサーバ装置に対し、暗号化したユーザデータを前記ユーザ識別子取得手段によって取得されたユーザ識別子と対応付けて送信する処理を行う第２の処理手段と
   を備えることを特徴とする情報処理装置。
2. 前記第２の処理手段は、前記第２のサーバ装置に対して、前記ユーザ識別子を通知して前記暗号化されたユーザデータを要求し、当該要求に応じて、前記第２のサーバ装置から送信されてくる、暗号化されたユーザデータを受信し、受信した当該暗号化されたユーザデータを復号する処理を行う
   ことを特徴とする請求項１記載の情報処理装置。
3. １又は複数の前記第１のサーバ装置によって複数のサービスが提供される場合に、
   前記第１の処理手段は、それぞれの前記サービスの提供元である第１のサーバ装置との間で、当該サービスを受けるための手順が記述されたアプリケーションプログラムの実行時に取得された前記ユーザデータ及び当該アプリケーションプログラムについて自装置に一意に割り当てられた前記アプリケーション識別子の送信と、当該サービスに関する前記サービス情報の受信を行い、
   前記第２の処理手段は、複数の前記サービスを提供するための複数の前記アプリケーションプログラムがそれぞれ実行されているときに前記ユーザデータ取得手段によって取得された前記ユーザデータの各々を暗号化し、暗号化した複数のユーザデータをまとめて前記ユーザ識別子と対応付けて送信する
   ことを特徴とする請求項１又は２に記載の情報処理装置。
4. 前記アプリケーションプログラムは前記第１のサーバ装置に記憶されており、
   前記アプリケーション識別子取得手段は、ＨＴＭＬ（Hyper Text Markup Language）５に対応したウェブブラウザを用いて、自装置に一意に割り当てられた前記アプリケーション識別子を前記第１のサーバ装置から取得し、
   前記第１の処理手段及び前記第２の処理手段は、前記ウェブブラウザを用いて前記第１のサーバ装置及び前記第２のサーバ装置との間で送受信を行う
   ことを特徴とする請求項１〜３のいずれか１項に記載の情報処理装置。
5. 複数の情報処理装置と、入力端末と、前記情報処理装置のユーザに関するデータであって、前記ユーザ個人を特定可能な情報を含まないユーザデータに基づいてユーザにサービスを提供する第１のサーバ装置と、暗号化された前記ユーザデータを前記ユーザに割り当てられたユーザ識別子に対応付けて保存する第２のサーバ装置とを具備し、
   各々の前記情報処理装置は、
   自装置のユーザに関するデータであって前記ユーザ個人を特定可能な情報を含まない前記ユーザデータを取得するユーザデータ取得手段と、
   自装置のユーザに一意に割り当てられたユーザ識別子を取得するユーザ識別子取得手段と、
   前記ユーザデータに基づいてユーザにサービスを提供するための手順が記述されたアプリケーションプログラムについて自装置に一意に割り当てられたアプリケーション識別子を取得するアプリケーション識別子取得手段と、
   前記第１のサーバ装置に対し、前記アプリケーションプログラムが実行されているときに前記ユーザデータ取得手段によって取得された前記ユーザデータを、当該アプリケーションプログラムについて自装置に一意に割り当てられたアプリケーション識別子と対応付けて送信し、前記第１のサーバ装置から前記サービスに関するサービス情報が送信されてくると、当該サービス情報を受信して出力する処理を行う第１の処理手段と、
   前記第２のサーバ装置に対し、暗号化したユーザデータを前記ユーザ識別子取得手段によって取得されたユーザ識別子と対応付けて送信するとともに、前記第２のサーバ装置に対して、前記ユーザ識別子を通知して前記暗号化されたユーザデータを要求し、当該要求に応じて、前記第２のサーバ装置から送信されてくる、暗号化されたユーザデータを受信し、受信した当該暗号化されたユーザデータを復号する処理を行う第２の処理手段と
   を備え、
   前記入力端末は、
   前記第１のサーバ装置に記憶されているユーザデータを表示する表示手段と、
   前記アプリケーション識別子を指定して前記サービス情報を入力する操作を受け付ける操作手段とを有し、
   前記第１のサーバ装置は、
   前記情報処理装置から送信されてくる前記ユーザデータ及び前記アプリケーション識別子を受信する第１の受信手段と、
   前記第１の受信手段によって受信された前記ユーザデータを前記アプリケーション識別子と対応付けて記憶するとともに、前記入力端末において入力されたサービス情報を前記指定されたアプリケーション識別子と対応する前記ユーザデータと対応付けて記憶する第１の記憶手段と、
   前記情報処理装置に前記サービス情報を送信する第１の送信手段とを有し、
   前記第２のサーバ装置は、
   前記情報処理装置から送信されてくる、暗号化されたユーザデータ及びユーザ識別子を受信する第２の受信手段と、
   前記第２の受信手段によって受信された、暗号化されたユーザデータ及びユーザ識別子を対応付けて記憶する第２の記憶手段と
   を有することを特徴とするサービス提供システム。
6. 情報処理装置が、ユーザに関するデータであって、前記ユーザ個人を特定可能な情報を含まないユーザデータを取得するユーザデータ取得ステップと、
   情報処理装置が、前記ユーザに一意に割り当てられたユーザ識別子を取得するユーザ識別子取得ステップと、
   情報処理装置が、前記ユーザデータに基づいてユーザにサービスを提供するための手順が記述されたアプリケーションプログラムについて自装置に一意に割り当てられたアプリケーション識別子を取得するアプリケーション識別子取得ステップと、
   情報処理装置が、前記ユーザデータに基づいてユーザにサービスを提供する第１のサーバ装置に対し、前記アプリケーションプログラムが実行されているときに前記ユーザデータ取得ステップによって取得された前記ユーザデータを、当該アプリケーションプログラムについて自装置に一意に割り当てられたアプリケーション識別子と対応付けて送信し、前記第１のサーバ装置から前記サービスに関するサービス情報が送信されてくると、当該サービス情報を受信して出力する処理を行う第１の処理ステップと、
   情報処理装置が、暗号化された前記ユーザデータを前記ユーザ識別子に対応付けて保存する第２のサーバ装置に対し、暗号化したユーザデータを前記ユーザ識別子取得ステップによって取得されたユーザ識別子と対応付けて送信する処理を行う第２の処理ステップと
   を備えることを特徴とするサービス提供方法。
7. コンピュータを、
   ユーザに関するデータであって、前記ユーザ個人を特定可能な情報を含まないユーザデータを取得するユーザデータ取得手段と、
   前記ユーザに一意に割り当てられたユーザ識別子を取得するユーザ識別子取得手段と、
   前記ユーザデータに基づいてユーザにサービスを提供するための手順が記述されたアプリケーションプログラムについて自装置に一意に割り当てられたアプリケーション識別子を取得するアプリケーション識別子取得手段と、
   前記ユーザデータに基づいてユーザにサービスを提供する第１のサーバ装置に対し、前記アプリケーションプログラムが実行されているときに前記ユーザデータ取得手段によって取得された前記ユーザデータを、当該アプリケーションプログラムについて自装置に一意に割り当てられたアプリケーション識別子と対応付けて送信し、前記第１のサーバ装置から前記サービスに関するサービス情報が送信されてくると、当該サービス情報を受信して出力する処理を行う第１の処理手段と、
   暗号化された前記ユーザデータを前記ユーザ識別子に対応付けて保存する第２のサーバ装置に対し、暗号化したユーザデータを前記ユーザ識別子取得手段によって取得されたユーザ識別子と対応付けて送信する処理を行う第２の処理手段
   として機能させることを特徴とするプログラム。

Images